Rapporten fra en intern test kan virke som en lang liste af enkeltstående fejl, men fundene kan have nogle få fælles rødder. De opstår, fordi driften gennem årene har valgt det, der virkede hurtigst: en konto med lidt for mange rettigheder, et net uden opdeling, en adgangskode, der blev genbrugt. Svaret på, hvad fundene betyder, hviler derfor på at læse dem som et billede af jeres vaner og ikke kun som en opgaveliste. Den, der kun retter symptomerne, får de samme fund igen ved næste test.
Fundene herunder er grupperet efter den driftsvane, de kan udspringe af. Grupperingen er ikke en facitliste over, hvad en bestemt test finder. Den er en hjælp til at sortere rapporten.
Fundene har fælles mønstre
CISA og NSA har på grundlag af deres egne test og vurderinger, hovedsageligt i Windows- og Active Directory-miljøer, samlet en liste over ti fejlopsætninger, der går igen. Listen omfatter blandt andet standardopsætninger, manglende adskillelse mellem bruger- og administratorrettigheder, manglende opdeling af nettet, svag opdateringsstyring, for brede rettigheder på delte mapper og dårlig håndtering af loginoplysninger. Ingen af punkterne kræver avanceret teknik at forklare. De beskriver, hvordan et miljø ser ud, når driftens hverdag har sat sig.
Det gør listen nyttig for IT-afdelingen. Den viser, at de fund, I står med, sjældent er særlige for jer, og at rettelserne derfor kan bygge på principper, der er afprøvet andre steder.
Rettigheder, der er vokset
En stor gruppe kan handle om rettigheder. Medlemskaber af administratorgrupper, der aldrig er blevet ryddet op i. Brugere med lokale administratorrettigheder på egen maskine. Delte mapper, hvor alle medarbejdere kan læse alt. → Privilegerede grupper i Active Directory
Vanen bag er forståelig. Det er lettere at give en rettighed end at fjerne den, og ingen klager over at have for meget adgang. Over tid bliver det, der var en midlertidig løsning, en permanent tilstand. → Delte mapper og filservere
Fund i denne gruppe kan vægtes højt, fordi de gør det muligt at komme fra en almindelig konto til en betroet konto. Rapporten bør vise, hvilke rettigheder der hang sammen i en kæde, så I kan se, hvilket led der er lettest at bryde.
Konti og loginoplysninger
Den næste gruppe handler om konti, der lever deres eget liv. Tjenestekonti med brede rettigheder og adgangskoder, der aldrig skiftes. Samme adgangskode til den lokale administrator på mange maskiner. Loginoplysninger i scripts og konfigurationsfiler. Gamle konti, der stadig er aktive.
Vanen bag er, at konti oprettes til et formål og glemmes, når formålet er nået. Ingen har ansvaret for at se dem efter. → Tjenestekonti
Fund i denne gruppe har en særlig følge for oprydningen. Loginoplysninger, som testeren har set, skal betragtes som kendte, også selv om rapporten ikke beskriver, at de blev brugt. Planlæg derfor skift af adgangskoder sammen med rettelsen, og tag stilling til, hvilke systemer der er afhængige af kontoen, før den ændres. Ellers risikerer I, at et skift stopper en integration midt i arbejdsdagen.
Adskillelse og opdatering
To grupper handler om infrastrukturen. Den første er manglende opdeling af nettet, så en klient kan tale direkte med servere, backup og administration. Den anden er opdatering: systemer, der mangler rettelser, og systemer, som producenten ikke længere understøtter.
Vanen bag manglende opdeling er, at nettet er bygget til at virke og udvidet efterhånden, uden at nogen har fået tid til at dele det op. → Fladt netværk
Vanen bag manglende opdatering kan være manglende overblik snarere end manglende vilje. Systemer, der står uden for den faste rutine, bliver glemt. Testen viser dem, fordi den ser på det, der faktisk svarer på nettet, og ikke på det, der står i opdateringsværktøjet. → Opdateringsstatus på klienter og servere
Overvågning og spor
En sidste gruppe handler om, hvad I selv kunne se. Hvis testeren bevægede sig rundt i flere dage, uden at noget blev registreret, er det et fund, selv om det ikke nødvendigvis står med samme vægt som en svaghed. CISA og NSA nævner utilstrækkelig overvågning af det interne net som en af de ti fejlopsætninger.
Vanen bag er, at overvågning kan være bygget op mod det, der kommer udefra. Det, der sker mellem maskinerne inde på nettet, får mindre opmærksomhed.
Brug testen til at kontrollere det. Bed om testerens tidslinje, og se efter, hvad jeres egne logs viser fra samme periode. Forskellen fortæller, hvor overvågningen har blinde vinkler, og den kan bruges som grundlag for næste års forbedringer, uden at der skal bestilles en særskilt øvelse.
Fra mønster til prioritering
Når fundene er sorteret efter vane, bliver det lettere at prioritere. Et fund, der er led i en kæde mod de mest betroede konti, kommer først, uanset hvilken gruppe det tilhører. Derefter kommer fund, hvor én rettelse løser mange enkeltfund, fx en ændret standardopsætning, der fjerner samme svaghed på alle klienter.
Del dernæst listen op i det, der kan rettes hurtigt, og det, der kræver et projekt. Opdeling af nettet og oprydning i rettigheder er sjældent noget, der klares på en uge. Ændring af en standardindstilling kan være det. → Hurtige rettelser og større projekter
Skriv for hver gruppe ned, hvilken vane der skal ændres, og hvem der ejer ændringen. Det er den del, der forhindrer, at fundene kommer igen. Selve fundene føres ind i opgavesystemet med ejer og frist. → Fra fund til opgave
Det skal I lade være med
- At rette fundene ét for ét uden at se mønsteret. Samme vane skaber nye fund.
- At undervurdere fund om overvågning. At intet blev registreret, er også et resultat.
- At prioritere efter score alene. Et fund midt i en kæde kan være vigtigere end et med høj score uden sammenhæng.
- At gøre alle rettelser til store projekter. Nogle kan klares med en standardindstilling.
- At glemme ejeren af vanen. En rettelse uden ny rutine holder ikke.
Hvad kan og ikke kan konkluderes
Fundene viser, hvordan de dele af miljøet, testen nåede, var sat op i testperioden, og hvilke veje testeren fandt fra de aftalte udgangspunkter. Mønstrene giver et godt billede af driftens vaner, men de dækker ikke systemer og net, der lå uden for testen. Fravær af fund i en gruppe betyder ikke, at gruppen er i orden overalt.
Tjekliste til den interne rapport
- ☐ Er fundene grupperet efter den vane, de udspringer af?
- ☐ Er kæder mod betroede konti prioriteret først?
- ☐ Er rettelser, der løser mange fund på én gang, fundet?
- ☐ Er listen delt i hurtige rettelser og projekter?
- ☐ Har hver vane, der skal ændres, en ejer?
- ☐ Er fundene ført ind i opgavesystemet?
Kilder
- CISA og NSA: Top Ten Cybersecurity Misconfigurations (AA23-278A): ti fejlopsætninger, der går igen i deres test og vurderinger, primært i Windows- og Active Directory-miljøer.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Fladt netværk · Privilegerede grupper i Active Directory
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
